FAQ zu Codex Security Cloud

Diese Antworten gelten für Codex Security Cloud. Für die Installation und einen ersten Scan verwenden Sie die Cloud-Einrichtung. Für lokale Scans gibt es separate Anleitungen für Plugin und CLI.

Abrechnung

Wie werden Cloud-Scans abgerechnet?

Repository-Scans und kontinuierliche Scans, die nach dem 1. Oktober 2026 um 12:53 Uhr pazifischer Zeit eingerichtet werden, werden anhand des Tokenverbrauchs zu den Konditionen Ihres Tarifs abgerechnet, je nach Abrechnungstarif in Credits oder USD. Bei berechtigten Konten werden zunächst kostenlose Scan-Guthaben genutzt, bevor kostenpflichtige Nutzung abgerechnet wird.

Diese Nutzung ist nicht durch das in Ihrem Tarif enthaltene Nutzungskontingent abgedeckt.

Kontinuierliche Scans, die vor diesem Stichtag eingerichtet wurden, sind bis zum 21. Oktober 2026 kostenlos. Danach werden sie zu den regulären Token-Tarifen gemäß dem Abrechnungsplan Ihres Kontos berechnet, wenn Sie die kostenpflichtige Nutzung aktivieren. Andernfalls werden sie pausiert.

Erhalte ich einen kostenlosen Scan-Zeitraum oder kostenloses Scan-Guthaben?

Was Sie erhalten, hängt davon ab, ob für Ihr Konto kontinuierliche Scans bereits vor dem 1. Oktober 2026 um 12:53 Uhr pazifischer Zeit eingerichtet waren:

• Falls ja, bleiben Ihre abgedeckten kontinuierlichen Scans bis zum 21. Oktober 2026 kostenlos. Dieser kostenlose Zeitraum gilt nicht für Repository-Scans oder für kontinuierliche Scans, die nach dem 1. Oktober 2026 um 12:53 Uhr pazifischer Zeit eingerichtet wurden.
• Falls nein, erhalten berechtigte Konten kostenloses Scan-Guthaben im Wert von 500 USD anstelle des kostenlosen Zeitraums für kontinuierliche Scans.

Wie funktioniert kostenloses Scan-Guthaben?

Repository-Scans und kontinuierliche Scans nutzen dasselbe kostenlose Guthaben. In einem Workspace teilen sich alle dieses Guthaben. Dieses kostenlose Scan-Guthaben ist unbegrenzt gültig.

Wenn das kostenlose Guthaben aufgebraucht ist, werden weitere Scans gemäß dem Abrechnungstarif Ihres Kontos oder Workspaces abgerechnet.

Was passiert, wenn der kostenlose Zeitraum für kontinuierliche Scans endet?

Wählen Sie Scans weiter ausführen und aktivieren Sie die kostenpflichtige Nutzung, um diese Scans nach dem kostenlosen Zeitraum fortzusetzen. Sie werden dann zu den regulären Tokenpreisen gemäß dem Abrechnungstarif Ihres Kontos oder Workspaces abgerechnet.

Wenn Sie dies ablehnen oder die kostenpflichtige Nutzung nicht aktivieren, werden diese Scans nach Ablauf des kostenlosen Zeitraums pausiert. Wählen Sie Scans erneut aktivieren, um die kostenpflichtige Nutzung nachträglich zu aktivieren. Bitten Sie in einem Workspace einen Workspace-Inhaber, diese Entscheidung zu treffen, falls Ihnen die Berechtigung fehlt.

Wo kann ich Tokenverbrauch und Gebühren einsehen?

Öffnen Sie unter Scans einen Scan, um dessen Tokenverbrauch und Kosten einzusehen. Bewegen Sie den Mauszeiger über die Tokenanzahl, um Eingabe-, zwischengespeicherte Eingabe- und Ausgabetokens anzuzeigen. Zwischengespeicherte Eingabetokens sind in der Anzahl der Eingabetokens enthalten und werden nicht zusätzlich hinzugezählt.

Die Nutzungsübersicht zeigt die Kosten vor Anrechnung kostenloser Scan-Guthaben oder Berücksichtigung von Abrechnungsbefreiungen sowie den durch kostenloses Scan-Guthaben gedeckten Betrag an.

Für Scans mit der Kennzeichnung "Von der Abrechnung ausgenommen. Es fallen keine Gebühren an." entstehen keine Gebühren, auch wenn Tokenverbrauch und Kosten angezeigt werden.

Scans

Muss das Projekt für den Scan gebaut werden?

Codex Security kann Quellcode auch ohne erfolgreichen Build analysieren. Zur Validierung können Abhängigkeiten oder ein funktionierender Build erforderlich sein, um ein Problem zu reproduzieren. Konfigurieren Sie diese Voraussetzungen in der Codex-Cloud- Umgebung.

Wenn die Validierung nicht ausgeführt werden kann, prüfen Sie, was der Befund anhand des Quellcodes belegt und was weiterhin vom Laufzeit- oder Bereitstellungsverhalten abhängt.

Welche Sprachen werden unterstützt?

Codex Security analysiert Quellcode in verschiedenen Sprachen. Die Ergebnisse hängen davon ab, wie gut das Modell über die jeweilige Sprache und das Framework schlussfolgern kann, sowie vom verfügbaren Repository-Kontext. Ein erfolgreicher Scan bedeutet nicht, dass alle Sprachen oder Komponenten gleichermaßen abgedeckt sind. Prüfen Sie im Bericht den tatsächlich untersuchten Umfang.

Wie unterscheiden sich Repository-Scans und die Commit-Überwachung?

Ein einmaliger Scan prüft das Repository einmal. Kontinuierliches Scannen überwacht neue Commits und kann ausgewählte Teile des Commit-Verlaufs prüfen. Aktivieren Sie es nach dem ersten Scan über Neue Commits überwachen.

Kann ich die Commit-Überwachung pausieren?

Öffnen Sie Repositories, wählen Sie das Repository aus und öffnen Sie Überwachungseinstellungen. Setzen Sie die Überwachung auf Pausiert und wählen Sie Speichern. Sie können sie in denselben Einstellungen wieder aktivieren.

Kann ich das Bedrohungsmodell bearbeiten?

Ja. Aktualisieren Sie es in den Überwachungseinstellungen des überwachten Repositories, wenn sich Architektur, Bereitstellung oder Sicherheitsannahmen ändern. Der Leitfaden zum Bedrohungsmodell erläutert, was Sie aufnehmen sollten. Änderungen gelten für künftige Scans.

Befunde und Validierung

Was lässt sich durch die Validierung feststellen?

Lesen Sie die dem jeweiligen Befund beigefügten Nachweise. Eine Quellcodeanalyse kann einen verwundbaren Codepfad nachweisen. Ausführungsnachweise können zeigen, dass ein bestimmtes Reproduktionsskript oder ein Test das Problem nachgewiesen hat.

Der erfasste Status und Schweregrad eines Befunds helfen, die Prüfung zu organisieren. Nutzen Sie die zugrunde liegenden Nachweise und Voraussetzungen, um zu entscheiden, ob der Befund Ihr System betrifft und was behoben werden muss.

Was geschieht, wenn die Validierung fehlschlägt?

Prüfen Sie den Validierungsversuch und alle verfügbaren Protokolle. Ein fehlgeschlagener Reproduktionsversuch kann bedeuten, dass das Problem nicht zutrifft, aber auch, dass die Umgebung oder der Test ungeeignet war. Klären Sie die angegebene Nachweislücke, bevor Sie den Befund verwerfen oder behaupten, das Problem sei reproduziert worden.

Was ist, wenn der Scan keine Befunde meldet?

Vergewissern Sie sich, dass der Scan abgeschlossen wurde und das vorgesehene Repository sowie die vorgesehene Revision geprüft hat. Lesen Sie alle dokumentierten Einschränkungen und offenen Arbeiten. Auch ein Scan ohne Befunde kann Schwachstellen übersehen.

Fehlerbehebungen

Wendet Codex Security Patches automatisch an?

Die Aktion hängt vom Befund ab. Mit Codex beheben bei einem Repository-Befund startet eine Unterhaltung, in der Codex aufgefordert wird, das Problem zu überprüfen, eine Behebung umzusetzen und relevante Tests auszuführen. Prüfen Sie die Änderungen in dieser Unterhaltung.

Prüfen Sie bei einem Befund mit vorgeschlagenem Patch den Diff, bevor Sie Pull-Request-Entwurf erstellen auswählen. Durch das Erstellen des Entwurfs wird die Behebung nicht zusammengeführt.

Woher weiß ich, ob ein Patch das Problem behoben hat?

Prüfen Sie die Validierungsnachweise des Patches, einschließlich der Frage, ob sich das ursprüngliche Problem weiterhin reproduzieren lässt und ob das vorgesehene Verhalten weiterhin funktioniert. Falls die Validierung nicht abgeschlossen wurde, halten Sie diese Unsicherheit beim Befund fest. Ein vorgeschlagener Patch, ein Pull-Request-Entwurf oder eine Statusänderung allein bestätigt keine erfolgreiche Behebung.